Omrežna forenzika

[et_pb_section admin_label=”section” transparent_background=”off” allow_player_pause=”off” inner_shadow=”off” parallax=”off” parallax_method=”off” padding_mobile=”off” make_fullwidth=”off” use_custom_width=”off” width_unit=”on” make_equal=”off” use_custom_gutter=”off” module_class=”article”][et_pb_row admin_label=”row”][et_pb_column type=”4_4″][et_pb_text admin_label=”Text” background_layout=”light” text_orientation=”left” use_border_color=”off” border_color=”#ffffff” border_style=”solid”]

Omrežna forenzika je zajem, zapis in analiza omrežnih dogodkov. Njen namen je odkriti izvor varnostih napadov in ostalih incidentov.

Posebnost preiskav v računalniških omrežjih je v tem, da moramo preiskovati ogromno informacij (dogodkov), ki hitro nastajajo. Prometni podatki v omrežju se običajno ne beležijo, ali pa se beležijo le na usmerjevalnikih v sklopu spomina, ki je tam na voljo, kar pomeni, da se sicer dogodki zabeležijo, pa tudi kmalu pobrišejo, ker jih prepišejo novi. V omrežni forenziki moramo poskrbeti, da se to ne zgodi, kar dosežemo s SIEM sistemi, ki te dogodke beležijo na bolj pameten način. Poleg SIEM sistemov pa potem vsaj za zanimive povezave potrebujemo napravo, ki zajame tudi same pakete in kasneje rekonstruira celotno komunikacijo. Poceni izvedba take naprave je recimo WireShark, zelo draga pa IBMov sistem qradar, ki zna iz zajetih paketov nazaj sestaviti recimo telefonski pogovor ali e-pošto z Word priponko.

Vdori v omrežje so neizbežni

Srednje ali večje podjetje ima v svojem omrežju običajno tako veliko strežnikov, aktivnih naprav in raznih spletnih in drugih elektronskih storitev, da je dostop do njih praktično nemogoče v celoti nadzirati.

Posebej v povezavi z ribarjenjem in drugimi tehnikami, s katerimi katerega od zaposlenih zmedejo ali prelisičijo tako, da jim na koncu vede ali nevede preda dostopne podatke, je utopično verjeti, da lahko postavimo tak varnostni sistem, da ga noben napadalec ne bo premagal.

Ostane nam torej, da stalno nadziramo omrežje in ukrepamo čim prej, ko se v njem začnejo pojavljati znaki, da napadalci delajo nekaj, kar nam ni po godu.

Pri tem imamo še eno težavo: napadalci so običajno kar spretni pri prekrivanju sledi svojih dejanj. Če se denimo povežejo na naš strežnik, običajno poskrbijo, da dostopne log datoteke spremenijo ali pobrišejo, tako da jih preko tega zelo težko izsledimo. Edino, kar nam preostane, so mrežni prenosni podatki.

Zaradi vsega omenjenega je smiselno predpostavljati, da se nam je vdor že zgodil.

Dva načina zbiranja podatkov na omrežnem nivoju

Simson Garfinkel, avtor več knjig o varnosti, je definiral dva načina zbiranja podatkov na nivoju omrežja: bolj grobi pristop z imenom “Ujemi, kakor gre” (angl. “Catch-it-as-you-can”) in bolj inteligentni pristop “Zaustavi, opazuj in poslušaj” (angl. “Stop, look and listen”.)

Sistemi “Ujemi, kakor gre” prestrežejo vse mrežne paketke, ki potujejo skozi določeno točko prometa in jih shranijo, da jih kasneje lahko analizirajo v zaledni obdelavi. Ta pristop zahteva velik obseg hrambe. Pri tem pristopu lahko nastanejo pravne težave, saj se shrani čisto vse pakete, vključno s podatki uporabnikov, kar ni nujno legalno.
Sistemi “Zaustavi, opazuj in poslušaj”: vsak paket je analiziran na elementaren način v spominu in le določene informacije so shranjene za bodočo analizo. Ta pristop zahteva sicer manj hrambene kapacitete, zato pa potrebuje hitrejši procesor, ki sledi vhodnemu prometu.

Oba pristopa potrebujeta precejšnjo kapaciteto hrambe. Občasno je potrebno izbrisati starejše podatke, da se ustvari prostor za nove. Za zajem in analizo podatkov se lahko uporablja open source programe kot sta tcpdump in windump, kakor tudi vrsto komercialnih rešitev.

Za hranjenje dogodkov obstaja mnogo komercialnih rešitev, odprtokodna, s katero se ukvarjamo, pa je: https://www.alienvault.com/products/ossim/download

[/et_pb_text][/et_pb_column][/et_pb_row][et_pb_row admin_label=”Row” global_module=”1804″ make_fullwidth=”off” use_custom_width=”off” width_unit=”on” use_custom_gutter=”off” padding_mobile=”off” allow_player_pause=”off” parallax=”off” parallax_method=”off” make_equal=”off” parallax_1=”off” parallax_method_1=”off” column_padding_mobile=”on” module_class=”article-navigation”][et_pb_column type=”4_4″][et_pb_post_nav global_parent=”1804″ admin_label=”Post Navigation” in_same_term=”off” hide_prev=”off” hide_next=”off” prev_text=”Prejšnji članek” next_text=”Naslednji članek” use_border_color=”off” border_color=”#ffffff” border_style=”solid” custom_css_main_element=”text-decoration: none;||text-transform: uppercase;” title_font_size=”18px”] [/et_pb_post_nav][/et_pb_column][/et_pb_row][et_pb_row admin_label=”Row” make_fullwidth=”off” use_custom_width=”off” width_unit=”on” use_custom_gutter=”off” padding_mobile=”off” background_image=”https://www.virtua-it.si/wp-content/uploads/2016/06/bg_virus.png” allow_player_pause=”off” parallax=”off” parallax_method=”off” make_equal=”off” parallax_1=”off” parallax_method_1=”off” column_padding_mobile=”on” background_color=”#368a8c” custom_padding=”0px||0px|”][et_pb_column type=”4_4″][et_pb_cta admin_label=”Call To Action” button_url=”https://www.virtua-it.si/webinar-5/” url_new_window=”off” button_text=”PRIJAVLJAM SE NA WEBINAR” use_background_color=”on” background_color=”rgba(54,138,140,0.75)” background_layout=”dark” text_orientation=”center” use_border_color=”off” border_color=”#ffffff” border_style=”solid” custom_button=”on” button_text_color=”#368a8c” button_bg_color=”#ffffff” button_letter_spacing=”0″ button_use_icon=”default” button_icon_color=”#ffffff” button_icon_placement=”right” button_on_hover=”on” button_text_color_hover=”#ffffff” button_bg_color_hover=”#7eb4b5″ button_letter_spacing_hover=”0″ button_border_color=”#ffffff” button_border_color_hover=”#7eb4b5″ custom_margin=”0px||0px|” module_class=”cta”]

virtua_fortinet_gold_partner